近期，我们接触了不少大中型机构的网络安全负责人，他们都表现出对社会工程学攻击防范的兴趣，当然大多数负责人都希望能有详细的教程，来防范各种类型的社交工程攻击。甚至还有负责人给我们列出一个详细的社会工程攻击防范思维导图，里面有几十种不同向量的攻击设想。对此，昆明亭长朗然科技有限公司信息安全研究员董志军感叹道：看样子，市场和客户对社会工程学防范的认识度已经很高了。

尽管如此，也仍然有大量的安全从业人员认为黑客行为主要是使用恶意软件和编码绕过安全防护并窃取数据或金钱的行为。社会工程学骗子只是采用了低级的没什么技术含量的方法，以人为目标而不是软件为目标，是小菜一碟，不值一提。

不管如何，对任何事物，有不同的见解，有不同的声音，这样的世界才是正常的、稳定的和可靠的。因此，我们安全管理者不必要说谁对谁错，用自己认为正确的观点去压制有不同观点的安全技术人员，安全技术人员们那样认为，是由于他们不在管理岗位，当然会选择性地忽视非自己核心技术能力的领域。每个人都有自己的认知圈，这个世界很大，不必要强求他人和我们一样，只需“和而不同”。

话说回来，社会工程学骗子也是利用人类行为的知识来进行攻击的。一个人的偏见、假设、信念等可能使攻击者诱骗他们做一些符合攻击者利益的事情。这就是人们常说的：社会工程领域是基于心理学和行为学的。

研究发现，在如下一些情况下，人们更有可能遵守要求和付诸行动：

• 要求由权威人士提出；
• 请求者与受害者一样具有相似的兴趣、信念和态度；
• 请求者给予或承诺给受害者一些有价值的东西，以换取他们的帮助；
• 请求者提出的某种原因是受害人公开认可的；
• 如果受害人符合要求，将与其他人的行为相符；
• 请求者要求临时或短时内使用；

社会工程骗子意识到这些人为偏见，并以各种方式加以利用。通过针对人为因素，他们绕过旨在防止“常规”黑客攻击的技术型防御措施，从而增加了成功攻击的可能性。

社会工程学攻击可以通过任何渠道进行。这些路子五花八门，包括互联网、电话或面对面交谈等等，来绕过组织机构的网络防御。接下来，我们将简要介绍一些最常见的社交工程攻击类型。

基于网络的攻击

互联网使网络攻击在全球范围内成为可能，有多种基于网络的社会工程攻击手法，构建一个钓鱼网站是最常见的攻击方式。

水坑式绕道攻击

在水坑攻击中，黑客利用人们的习惯来攻击他们。当准备攻击特定目标时，攻击者会观察他们的浏览习惯，以识别他们通常访问的站点的类型。例如，当定位财务人员时，他们可能定位到税务服务或类似的站点。然后，攻击者会破坏目标站点，并迫使其向用户提供恶意内容，或创建用户可能访问的恶意站点。最终，用户访问该站点并受到入侵。

基于消息的钓鱼

网络钓鱼是社会工程学中最常见的类型。不过，大部分网络钓鱼都是从钓鱼邮件或钓鱼短信开始的。通常，这意味着让最终用户单击恶意链接进入钓鱼网站或下载并打开恶意附件。网络防御者们不断开发出识别和阻止网络钓鱼电子邮件的方法，同时黑客也不断创造出逃避这些保护的新方法，博弈态势在不断变化之中。

基于电话的攻击

基于电话的社交工程攻击常被简称为电信诈骗，它基于模仿目标用户想要与之交谈的某人，冒充政府、邮递、公安和银行是常见的选择。

基于电话的针对企业职员的一种特定社交工程类型是帮助台诈骗。攻击者伪装为目标组织的IT帮助中心成员，利用各种借口使攻击者告诉用户在其计算机上采取某些操作。

面对面的攻击

尽管甚至网络和电话系统可以从任何地方进行网络攻击，但有时面对面的攻击最为有效。假冒身份现场面对面沟通对攻击者而言非常有用，与通过电话或电子邮件相比，人们更有容易向身边聊天的人泄露敏感信息。

基于场所的攻击

对公司办公室的物理访问可以为攻击者提供大量有价值的数据。通过组织的会议室的白板上、办公室的桌子上、未锁定的计算机、未及时取走文档的打印机复印机……攻击者可以潜入内部，轻易窃取敏感数据和非常有用的信息。

为了利用这些机会，攻击者需要能够进入大门。尾标是完成此操作的最常见方式。一般而言，大多数人都很友善，并希望帮助他人，尤其是那些背着沉重的电脑包，行色匆忙的人。

免受社会工程学攻击

社会工程骗子利用人们的想法进行攻击，其中有许多是在潜意识层面上发生的，因此很难从技术层面识别和防御社会工程学攻击，要应对潜意识层面的攻击，也需得从意识层面入手。

社会工程学归结为试图执行未经授权的行为。对此，董志军借用一家知名客户总结出来的三步法，分享与您，用来应对各种请求：

• 验证该人是其所声称的人
• 验证该人是否有权提出请求
• 确认您自己是否有权提供

如果您可以验证所有这三个条件都是符合的，则可能与社交工程攻击无关。总之，有人向您索取公司信息或帮助时，花点时间放慢脚步，并遵循适当的流程是保护自己免受社交工程师攻击的最佳方法。

昆明亭长朗然科技有限公司推出了专门针对职场人员的社会工程学防范意识课程，欢迎有需要的客户或伙伴们联系我们，洽谈合作。当然，如果您对文中的这个话题有兴趣或者有自己的观点看法，欢迎联系我们，以进一步深入探讨。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：[email protected]
• QQ：1767022898

在经历过十来年的电信诈骗犯罪上升之后，近几年网络诈骗总体呈下降趋势。但是，我们不能大意，“广撒网”式的诈骗少了，“精准”诈骗多了。对此，昆明亭长朗然科技有限公司网络安全研究员董志军表示：换句话说，传统的网络钓鱼攻击变少了，但是更有针对性的攻击——鱼叉式网络钓鱼，却变多了。这是因为时代在变，“道高一尺，魔高一丈。”多部门花费了大量人力与物力开展诈骗预警、诈骗犯罪分子打击等多项反诈工作，不法分子只能频频亮出“新招”，才能继续“生存和发展”。

最近，笔者在一天内亲历了三个诈骗电话，号码都是00开头，依据常识，均来自海外，而且在接听电话时，也立即收到运营商发来的“温馨提醒”，笔者并没什么海外关系，所以一看到这种号码，便有了防备之心。可蹊跷的是，第三个电话008701开头，很接近本地的固话号码0871，我一开始并未能一眼辨出，还以为是本地来电呢！对于诈骗的警惕之心立即降下来了。

骗子是如何尝试开始攻击的呢？我遭遇的是“快递丢失”类骗局！骗子无疑是想要我更多的信息和操作，以便“给予赔偿”。我相信很多人一听到自己的“快递丢失”，就会立即“阵脚大乱”，想着自己已经付出的银子，得及时给收回。这正中了骗子的下怀，在骗子的一顿蒙骗之下，不知不觉便上了钩。没错！骗子得到了我购物的快递单上的“详细”信息，所以清楚地道出了我的电话、姓名、收件地址、以及货物，我查询平台一看，货物正在运输途中，几点都是非常吻合的！这里假如我相信来电者（骗子）所自称的“快递公司”身份，似乎也是在情理之中。

可是，有经验的人们只要稍一琢磨，就会发现问题，那就是快递公司为啥要赔钱给我这个收件者呢，要赔也是赔给发件者，是吧？而且即使是货物丢失，也可以再重新发货，或者退款。即使是退款，常规来讲，也应通过电商平台的付款渠道进行，也就是从哪儿来的钱从哪儿回的呀！是吧？想到这儿，我就明白了，原来新型诈骗的防范之道，最根本的，并不是什么这个行动，那个提醒，而是你得要了解起码的业务流程，要懂点专业知识。你如果“太菜”，不懂基本的原理、制度和流程，那就很容易被“忽悠”进入那些固定的脚本化诈骗场景之中。

对于大众来讲，随着移动互联网产业的兴起，新型网络诈骗亦层出不穷。诈骗者利用社交平台、购物平台、短视频平台等渠道与受害人进行接触，而不再仅仅使用传统的电话、短信渠道，这令人防不胜防。尽管有《网络安全法》、《个人信息保护法》、“实名制”、“国家反诈中心APP”、“净网行动”、“断卡行动”、“预警监测”等等“精准合力”的措施，却仍有不少受害者。究其原因，是这些受害者受教育不够，我不是在知识或学历方面的歧视，大学教授和博士们被骗的也不少，我是说这些受害者缺乏商业常识、批判性思维和独立思考。

对于职场人员来讲，鱼叉式网络钓鱼是一种发送看似来自已知或可信发件人的电子邮件的做法，以诱使目标人员泄露机密信息或者发起转账操作。鱼叉式网络钓鱼邮件中的信息看起来像是真的，并且请求似乎合情合理。该消息似乎来自组织内部有权要求提供机密信息或敏感操作的人员，可能是单位老总、人事专员、系统管理员、其他部门的经理等。发起鱼叉式网络钓鱼攻击的网络犯罪分子使用可公开访问的信息研究组织及其员工。他们可能会使用公共网站、新闻报道、电商门店、公众号和其他来源的员工名录，甚至直接收买内部员工以及供应商、服务商人员。

防范钓鱼邮件，特别是鱼叉式网络钓鱼，当下，企业级邮件系统多数使用了外部邮件警告功能，要求员工们注意确认外部邮箱，这让模仿邮件域名的假冒者无法遁形。然而，员工们总会麻木大意的，而且电子邮件若行不通，自然还有其他沟通渠道。比如那些QQ群、微信群、高仿的视频或语音等，如果像财务出纳这种关键的岗位人员，从声音甚至视频通话中，听从了“领导”的指示，而没有遵守常规流程，转出了巨款，那么，升级“人工智能”技术防范措施，永远没有教导职员们了解商业常识、提升防诈意识、严守工作规则来的好，因为这样成本低且效益高。

鱼叉式网络钓鱼攻击者通常要求用户名和密码，或要求受害者单击一个链接，该链接会在他们的计算机上秘密安装驱动下载。如果一名员工上钩，鱼叉式网络钓鱼者可以冒充该受害者，然后瞄准组织中其他更高级别的个人。最终，鱼叉式网络钓鱼者可能会获得管理密码、银行账户信息、对知识产权的访问权、其他有价值的内部甚至机密数据，或者成功地让特定组织内部的某个人运行恶意软件程序。

当发现不合常规的情况时，保持怀疑，是获得成功“免骗”的关键要素。当骗子在通话中，发现我对该情况表现出怀疑之时，表示“难以与我沟通”。在我快要揭露出其真面目时，提出按常规流程操作时，其表示“将再重新要求商家发货”并结束了电话。第二天，快递货物到达，当然该货物并非是“重新发送的”。

那么，新的问题又来了，谁泄露了快递信息呢？商家或快递公司的内鬼（兼职赚外快）、甚至商家或快递公司的系统泄露（遭遇了黑客入侵）？这些可能性都不排除，这个真正的源头，似乎根本不惧怕《网络安全法》、《个人信息保护法》中的相关条款。然而，对此，作为“受害者”的我，也没有什么办法和动力，去追究或举报。想到也正是由于我的这种无奈和隐忍，让诈骗犯罪仍然逍遥法外，让个人信息买卖或数据盗窃行为继续滋生蔓延。举报非法犯罪，是公民义不容辞的职责。作为网络专员的我，“懂法而没好好用法”，似乎有些羞愧，然而，更多的是不想惹“麻烦”，不想麻烦自己，以及有司。相信有过报警经历，“坏人”早已跑掉，自己却被警察当成“坏人”般反复盘问的公民们，应该了解我的这般心态。

话说回来，法律仍然是保障公民权益的武器，网民仍然需要自觉守法、遇事找法、解决问题靠法，学会用法律来维护自己的合法权益。学习反诈知识、安装反诈应用、用好反诈资源，武装好自己的头脑，防止受骗是关键。万一上当受骗了，千万不要犹豫，立即报警。当然，企业级的单位，更应加强职工们的网络安全、数据保护、合规守法及防诈骗意识。

昆明亭长朗然科技有限公司积极顺应时代变化，专注于帮助各类型组织机构解决“人员”方面的安全风险，我们创作了大量的教程资源内容，包括安全、保密、合规等主题在内的动画视频、电子图片和电子课件，同时，我们拥有基于云计算的弹性学习管理系统，可以帮助各类型机构快速发起针对全员的安全意识在线学习计划，进而修复安全防范体系中“人为因素的弱点”。欢迎有兴趣的朋友联系我们，预览课程内容和洽谈采购事宜。

• 电话：0871-67122372
• 手机、微信：18206751343
• 邮件：info＠securemymind.com